보안 리뷰에서 Claude Code가 하는 일
- 머지 전에 변경마다 인젝션, 빠진 권한 검사, 노출된 데이터, 코드 속 시크릿을 확인합니다.
- 일정에 맞춰 저장소 전체를 스캔하고, 경고만 던지지 않고 근거와 함께 발견 사항을 보고합니다.
- 확인된 발견 사항을 심각한 것부터 패치나 이슈로 만듭니다.
- 수정을 다시 확인해 구멍이 막혔는지 검증합니다.
보안 리뷰에 쓰는 Claude Code 기능
| 기능 | 하는 일 | 시작 방법 |
|---|---|---|
/security-review | 내 브랜치와 origin 기본 브랜치 사이의 diff에서 인젝션, 인증 문제, 데이터 노출을 리뷰합니다 | 세션에서 실행. origin 원격이 필요 |
| Security guidance 플러그인 | Claude 자신의 변경에서 취약점을 리뷰하고 같은 세션에서 고칩니다 | /plugin install security-guidance@claude-plugins-official |
| Claude Security 플러그인 | 저장소나 diff를 멀티 에이전트로 스캔해 검증된 발견 사항, SARIF 파일, 패치를 냅니다 | /plugin install claude-security@claude-plugins-official 후 /claude-security |
| Code Review (관리형) | GitHub 풀 리퀘스트 리뷰로, 보안 버그도 잡습니다 | Team과 Enterprise. @claude review |
보안 리뷰용 Claude Code 설정 방법
도구 연결하기
/security-review는origin원격이 있는 세션이면 어디서든 동작합니다. 전체 스캔을 하려면 공식 마켓플레이스에서 Claude Security 플러그인을 설치하세요. Python 3.9 이상과 유료 플랜 또는 API 접근이 필요합니다.# Claude Code 세션에서: 스캐너 설치 /plugin install claude-security@claude-plugins-official # 머지 전에 내 브랜치를 high 수준으로 스캔 /claude-security scan my branch at highCLAUDE.md에 규칙 쓰기
Claude Code는
claude -p실행을 포함해 모든 세션을 시작할 때 CLAUDE.md를 읽습니다. 이 일의 규칙을 여기에 넣거나, 길다면.claude/skills/아래 스킬로 만드세요. CLAUDE.md 가이드를 참고하세요.## 보안 리뷰 규칙 - auth/, billing/ 또는 SQL을 건드리는 풀 리퀘스트는 모두 리뷰하세요. 인젝션, 빠진 권한 검사, 코드 속 시크릿, 엉뚱한 사용자에게 반환되는 데이터를 찾으세요. - 발견 사항마다 Critical, High, Medium, Low 중 하나로 등급을 매기고 파일, 줄, 악용 방법을 적으세요. - 프로덕션이나 우리 소유가 아닌 대상에는 절대 익스플로잇을 실행하지 마세요. 코드를 읽고 로컬에서 테스트하세요. - 수정은 풀 리퀘스트로 여세요. main에 직접 푸시하지 마세요.대화형 화면 없이 실행하기
claude -p는 작업 하나를 실행하고 종료하므로 cron, CI, 다른 도구에서 시작할 수 있습니다. 묻지 않고 할 수 있는 일은--allowedTools나--permission-mode로 정하고,--output-format json을 쓰면 결과가 비용과 함께 반환됩니다.# CI나 cron에서 브랜치 보안 점검 claude -p "이 브랜치에서 /security-review를 실행하고 발견 사항을 심각도순으로 나열해 줘" \ --output-format json > security-review.json일정에 올리기
/schedule로 클라우드 예약 작업을 만들거나(Pro, Max, Ultra, Team, Enterprise), 데스크톱 예약 작업을 쓰거나, 세션이 열려 있는 동안/loop를 쓰세요. Claude Code를 능동적으로 만드는 방법을 참고하세요.
한계와 안전
- 실행 중인 사이트가 아니라 체크아웃의 코드를 읽으므로, 잘못 설정된 서버는 잡지 못합니다.
- 스캔 결과는 비결정적이어서 두 번 돌리면 다른 발견 사항이 나올 수 있습니다. 한 번이 아니라 정기적으로 돌리세요.
- 기존 스캐너와 의존성 알림을 보완할 뿐, 그것들이나 모의 해킹을 대신하지 않습니다.
- Claude Code v2.1.302부터
claude -p는 Manual 모드로 시작합니다. 승인이 필요한 작업은 규칙으로 허용하지 않는 한 거부됩니다. 이 일에 필요한 도구만 허용하세요.
보안 리뷰에는 Claude Code와 Codex 중 무엇을 쓸까요?
규칙은 그대로 옮겨 쓸 수 있습니다. AGENTS.md에 한 번 쓰고 CLAUDE.md에 @AGENTS.md를 넣으면 두 에이전트가 같은 파일을 읽습니다.
다른 에이전트용 단계별 안내: Codex에서 하는 보안 리뷰.
| Claude Code | Codex | |
|---|---|---|
| 규칙 파일 | CLAUDE.md | AGENTS.md |
| 도구 연결 | claude mcp add | codex mcp add 또는 config.toml |
| 나 없이 실행 | claude -p | codex exec |
| 일정 | /schedule, 데스크톱 예약 작업, /loop | ChatGPT 앱의 예약 작업, cron |
| 보안 리뷰용 내장 기능 | /security-review, 보안 플러그인 두 개 | @codex security review, Codex Security |
보안 리뷰 담당자 두기
명령어는 누군가 기억해서 실행할 때만 돌아갑니다. Crewmark는 내 Claude Code 세션을 역할, 숫자로 된 목표, 근무 시간, 하트비트를 갖춘 AI 직원으로 바꿔, 일이 일정에 맞춰 진행되고 보드에 올라오게 합니다.
역할에서 시작하기
AI 소프트웨어 엔지니어의 브리프에 이 규칙을 넣으세요.
일을 보드에 올리기
이 일을 반복 이슈로 추가하세요. 직원이 하트비트에 깨어나 일을 하고 댓글로 보고합니다.
관련 페이지
보안 문제가 아닌 버그는 코드 리뷰를 참고하세요.
자주 묻는 질문
Claude Code에 보안 리뷰 명령어가 있나요?
네. /security-review는 현재 브랜치의 변경을 origin 기본 브랜치와 비교해 인젝션, 인증 문제, 데이터 노출 같은 취약점을 리뷰합니다.
Claude Code로 저장소 전체를 스캔하려면 어떻게 하나요?
/plugin install claude-security@claude-plugins-official로 Claude Security 플러그인을 설치하고 /claude-security를 실행하세요. 코드를 파악하고, 위협 모델을 만들고, 취약점을 찾고, 발견 사항을 하나하나 검증합니다. 결과에는 SARIF 파일이 포함됩니다.
Claude Code가 찾은 취약점을 고칠 수 있나요?
네. Claude Security 플러그인은 내가 고른 발견 사항을 검토하고 적용할 수 있는 패치로 만들고, security guidance 플러그인은 Claude가 코드를 쓰는 동안 자기 변경의 문제를 고칩니다.
2026년 11월 13일에 Claude Code 문서와 OpenAI의 Codex 문서를 기준으로 확인했습니다.